CompTIA SecurityX

Governance, risk a compliance (20 %)

• Dokumentace bezpečnostního programu: zásady, postupy, standardy a směrnice.

• Řízení programu: školení (phishing, bezpečnost, soukromí), komunikace, reportování a RACI matice.

• Rámce: COBIT, ITIL apod.

• Správa konfigurací: životní cyklus aktiv, CMDB a inventář.

• Nástroje GRC: mapování, automatizace a sledování souladu.

• Správa dat (data governance): produkční, vývojové, testovací a QA prostředí.

• Řízení rizik: analýza dopadů, hodnocení rizik (kvantitativní vs. kvalitativní), rizika třetích stran, důvěrnost, integrita a dostupnost.

• Modelování hrozeb: charakteristiky aktérů, vzorce útoků a rámce (ATT&CK, CAPEC, STRIDE).

• Útočný povrch: revize architektury, toky dat a hranice důvěry.

• Strategie souladu: odvětvové standardy (PCI DSS, ISO/IEC 27000).

• Bezpečnostní rámce: NIST, CSF, CSA a další.

Bezpečnostní architektura (27 %)

• Cloudové schopnosti: CASB (na bázi API, proxy), detekce „shadow IT“, model sdílené odpovědnosti, CI/CD pipeline, Terraform, Ansible, zabezpečení kontejnerů, orchestrace a bezserverové (serverless) zátěže.

• Cloudová bezpečnost dat: úniky a expozice dat, zbytková data (remanence), nezabezpečené úložiště a šifrovací klíče.

• Strategie cloudových kontrol: proaktivní, detekční a preventivní kontroly; konektivita zákazníka s cloudem, integrace služeb a kontinuální autorizace.

• Síťová architektura: segmentace, mikrosegmentace, VPN, always-on VPN a integrace API.

• Bezpečnostní hranice: identifikace a správa aktiv, atestace, datové perimetry a bezpečné zóny.

• Deperimeterizace: SASE, SD-WAN a softwarově definované sítě.

• Koncepty Zero Trust: definování vztahů subjekt-objekt.

Bezpečnostní inženýrství (31 %)

• Automatizace: skriptování (PowerShell, Bash, Python), spouštěče událostí, IaC, cloudová API, generativní AI, kontejnerizace, záplatování, SOAR a automatizace pracovních postupů.

• Správa zranitelností: skenování, reportování a SCAP (OVAL, XCCDF, CPE, CVE, CVSS).

• Pokročilá kryptografie: PQC, key stretching, homomorfní šifrování, forward secrecy a hardwarová akcelerace.

• Kryptografické případy použití: data v klidu, při přenosu i při použití; zabezpečený e-mail, blockchain, ochrana soukromí, compliance a autentizace na základě certifikátů.

• Kryptografické techniky: tokenizace, podepisování kódu, kryptografické mazání, digitální podpisy, hashování a symetrická/asymetrická kryptografie.

Bezpečnostní provoz (22 %)

• Monitorování a analýza dat: SIEM (zpracování událostí, retence, falešně pozitivní/negativní výsledky), agregovaná analýza (korelace, prioritizace, trendy) a základní chování (sítě, systémy, uživatelé).

• Zranitelnosti a útočný povrch: injekce, XSS, nezabezpečené konfigurace, zastaralý software a slabé šifry; opatření zahrnují validaci vstupů, záplatování, šifrování a princip defense-in-depth.

• Lov hrozeb (threat hunting): interní inteligence (honeypoty, UBA), externí inteligence (OSINT, dark web, ISACs), TIPy, sdílení IoC (STIX, TAXII) a jazyková pravidla (Sigma, YARA, Snort).

• Reakce na incidenty: analýza malwaru (sandboxing, extrakce IoC, stylometrie kódu), reverzní inženýrství, analýza metadat, obnova dat a analýza kořenové příčiny.